Avant de donner tes données à une app : les risques et comment savoir si elle est fiable et sécurisée

Comment savoir si une application est fiable, en 5 minutes

Pas besoin de savoir programmer. Il suffit de regarder 5 choses, de préférence avant d'installer.

1. L'étiquette de confidentialitéSur la page de l'app, descends jusqu'à la confidentialité. Dans l'App Store, lis d'abord « Données utilisées pour vous suivre » : si c'est vide, tant mieux. Dans Google Play, la partie s'appelle « Sécurité des données ».
2. Les autorisations demandéesUne lampe de poche n'a pas besoin de tes contacts. Si la demande n'a rien à voir avec ce que fait l'app, dis non.
3. La politique de confidentialitéCherche qui est le responsable, à quoi servent les données, à qui elles sont transmises et dans quels pays elles se trouvent. La loi suisse oblige à le dire.
4. Où sont les donnéesSur ton appareil, dans ton cloud ou sur les serveurs de l'entreprise ? Chiffrées ? Et qui a la clé ?
5. Après l'installation, le rapportL'iPhone montre ce que l'app a utilisé ces 7 derniers jours et avec quels domaines elle a communiqué. Sur Android, le Tableau de bord Confidentialité montre quand elle a utilisé la position, l'appareil photo et le micro. Compare avec l'étiquette.

L'étiquette est remplie par le développeur lui-même, dans l'App Store et dans Google Play. C'est un bon début, mais ce n'est pas une preuve. C'est le rapport de l'étape 5 qui montre ce que l'app fait vraiment.

Ce que les apps collectent

Certaines de ces données sont nécessaires au fonctionnement de l'app. D'autres non. La question à se poser est toujours la même : l'app en a-t-elle besoin pour faire ce que je lui demande ?

• La positionLa position exacte dit où tu habites et où tu travailles. Pour la météo ou un magasin près de chez toi, la position approximative suffit.
• Les contactsCe sont les données d'autres personnes, qui n'ont donné aucune autorisation.
• Les photosEt ce qu'elles contiennent : si l'Appareil photo a accès à la position, chaque photo garde l'endroit où elle a été prise. Qui reçoit la photo peut le voir.
• L'identifiant publicitaireUn numéro de ton téléphone qui permet de relier ce que tu fais dans différentes apps et différents sites.
• Ce que tu écris et ce que tu disMessages, notes, enregistrements, recherches. S'ils partent vers un serveur, quelqu'un là-bas peut les lire.
• La santéPour la loi suisse, ce sont des données sensibles (art. 5). Quand la loi demande ton consentement pour ces données, il doit être exprès (art. 6).

Où vont tes données

Dans une app qui garde tout sur l'appareil, les données restent chez toi. Dans d'autres, elles font un chemin plus long :

1. Ton téléphoneLà où les données naissent
2. Les serveurs de l'appParfois dans un autre pays
3. PartenairesPublicité et statistiques d'utilisation
4. Courtiers en donnéesDes entreprises qui achètent et vendent des profils

Si les données quittent la Suisse, la politique de confidentialité doit dire vers quel pays et avec quelles garanties (art. 19). Elles ne peuvent aller que dans un pays qui protège les données de manière adéquate, ou avec des garanties propres (art. 16).

Les risques, concrètement

1. Des arnaques faites sur mesureAvec ton nom, ta banque ou ton dernier achat, un faux message a l'air vrai.
2. Des fuites de donnéesUn serveur mal protégé peut être attaqué. Si la fuite entraîne un risque élevé pour toi, l'entreprise doit prévenir le PFPDT dans les meilleurs délais, et toi aussi, quand cela te protège (art. 24).
3. Des profils qui restentSupprimer l'app n'efface pas ce qui se trouve sur les serveurs. La loi dit que les données sont effacées quand elles ne sont plus nécessaires (art. 6), mais c'est à toi de le demander pour en être sûr.
4. Quelqu'un qui se fait passer pour toiAvec assez de données, une autre personne peut ouvrir des comptes ou récupérer des mots de passe en ton nom.

Chiffrement : la question, c'est qui a la clé

Chiffrer, c'est brouiller les données de façon que seul celui qui a la clé puisse les lire. « Chiffré » ne veut pas toujours dire la même chose :

1. En transitLes données voyagent brouillées sur Internet (le « https » et le cadenas du navigateur). Elles arrivent au serveur, et le serveur les lit.
2. Au reposLes données restent brouillées sur le disque du serveur. Qui a la clé les lit ; c'est souvent l'entreprise elle-même.
3. De bout en boutLa clé n'existe que sur tes appareils. L'entreprise garde les données, mais ne peut pas les lire.

Un exemple : iCloud. Avec la protection standard, les données sont chiffrées, mais Apple garde les clés d'une grande partie d'entre elles. Avec la Protection avancée des données activée, la plupart passent en chiffrement de bout en bout, et Apple n'a plus ces clés.

6 réglages de l'iPhone qui te protègent

1. Lire l'étiquette avant d'installerDans l'App Store, la confidentialité se divise en « Données utilisées pour vous suivre », « Données établissant un lien avec vous » et les données qui n'établissent aucun lien avec toi.
2. Revoir les autorisationsRéglages > Confidentialité et sécurité. Pour chaque type de données (photos, contacts, micro…), tu vois quelles apps y ont accès et tu retires ce qui n'est pas utile.
3. Refuser le suiviQuand une app te le demande, touche « Demander à l'app de ne pas suivre mes activités ». Pour toutes à la fois : Réglages > Confidentialité et sécurité > Suivi, et désactive « Autoriser les demandes de suivi des apps ».
4. Ne donner que la position approximativeRéglages > Confidentialité et sécurité > Service de localisation > l'app, et désactive « Position exacte ». Pour l'Appareil photo, choisis « Jamais » si tu ne veux pas l'endroit dans les photos.
5. Activer le rapportRéglages > Confidentialité et sécurité > Rapport de confidentialité des apps > Activer le rapport de confidentialité des apps. Il montre les 7 derniers jours. Le rapport est chiffré et reste uniquement sur ton iPhone.
6. Protéger iCloudRéglages > ton nom > iCloud > Protection avancée des données. Avant, Apple demande un contact de récupération ou une clé de secours : garde-la bien, car Apple ne pourra pas t'aider à récupérer tes données.

6 réglages d'Android qui te protègent

Les noms ci-dessous sont ceux d'Android de Google, en français. Sur les téléphones d'autres marques (Samsung, Xiaomi…), le chemin peut changer : si tu ne trouves pas, tape le nom dans la recherche des Paramètres.

1. Lire la « Sécurité des données » avant d'installerSur la page de l'app dans Google Play, descends jusqu'à « Sécurité des données ». Elle dit quelles données l'app collecte, si elle les partage avec d'autres entreprises, si elles sont chiffrées et si tu peux demander qu'on les efface. Comme dans l'App Store, c'est le développeur qui la remplit.
2. Revoir les autorisationsParamètres > Sécurité et confidentialité > Gestionnaire d'autorisations (dans certaines versions, sous « Paramètres de confidentialité »). Pour chaque type de données, tu vois quelles apps y ont accès, et tu choisis « Ne pas autoriser » pour ce qui n'est pas utile. Et dans Paramètres > Applications > chaque app, laisse activé « Suspendre l'activité si inutilisée » : une app oubliée pendant quelques mois perd ses autorisations toute seule.
3. Supprimer l'identifiant publicitaireParamètres > Confidentialité > Annonces (sur certains téléphones, dans « Sécurité et confidentialité »), puis touche « Supprimer l'identifiant publicitaire ». Les apps qui essaient de le lire ne reçoivent plus que des zéros.
4. Ne donner que la position approximativeParamètres > Applications > l'app > Autorisations > Position, et désactive « Position exacte ». L'app connaît le quartier, pas la rue. Dans l'app de l'appareil photo, désactive la position dans ses paramètres si tu ne veux pas l'endroit dans les photos.
5. Consulter le Tableau de bord ConfidentialitéParamètres > Sécurité et confidentialité > Tableau de bord Confidentialité. Il montre quelles apps ont utilisé la position, l'appareil photo et le micro, et à quelle heure. Dans les versions récentes, le menu ⋮ propose « Afficher 7 jours ».
6. Protéger la sauvegardeUtilise un code, un schéma ou un mot de passe pour déverrouiller le téléphone, et pas seulement un glissement du doigt. La sauvegarde de Google utilise ce code pour chiffrer une partie des données de bout en bout. Les photos et vidéos de Google Photos et les MMS ne sont pas protégés par ce code.

Ce que la loi suisse te garantit

La nouvelle loi fédérale sur la protection des données (LPD) est en vigueur depuis le 1er septembre 2023. Elle s'applique aussi aux entreprises de l'étranger, quand le traitement des données a des effets en Suisse (art. 3).

• Savoir ce qu'on fait de tes donnéesQui est le responsable, dans quel but, à qui elles sont transmises et vers quels pays (art. 19).
• Demander tes donnéesGratuitement et, en règle générale, en 30 jours : les données, à quoi elles servent, combien de temps elles sont gardées, d'où elles viennent et à qui elles sont allées (art. 25).
• Les emporter avec toiDans un format électronique courant, quand l'app les traite de manière automatisée avec ton consentement ou en vertu d'un contrat (art. 28).
• Corriger et faire effacerLes données fausses se corrigent. Et tu peux t'opposer à leur traitement : si l'entreprise ne s'y conforme pas, un tribunal peut interdire le traitement, interdire leur communication à des tiers ou ordonner leur effacement (art. 30 et art. 32).
• Des données protégéesL'entreprise doit protéger les données en fonction du risque (art. 8). Qui ne respecte pas intentionnellement les exigences minimales de sécurité risque une amende jusqu'à CHF 250 000 (art. 61).
• Être averti d'une fuiteQuand c'est nécessaire pour te protéger (art. 24).

Questions fréquentes